Za slobodni sustav upravljanja sadržajem , napisan u programskom jeziku Python koristeći Zope aplikacijski poslužitelj, zakrpe za ispravljanje (CVE identifikatori još nisu dodijeljeni). Problemi se odnose na sve aktualne verzije Plone-a, uključujući verziju koja je objavljena prije nekoliko dana . Problemi se planiraju ispraviti u budućim verzijama Plone 4.3.20, 5.1.7 i 5.2.2, a do objave tih verzija preporučuje se korištenje .
Identificirane ranjivosti (detalji još nisu objavljeni):
- Povećanje privilegija putem manipulacije s Rest API-jem (javlja se samo kada je plone.restapi uključen);
- UBacivanje SQL koda zbog nedovoljnog escaped SQL izraza u DTML-u i objektima za povezivanje s DBMS-om (problem je specifičan za i javlja se u drugim aplikacijama zasnovanim na njemu);
- Mogućnost prepisivanja sadržaja putem manipulacija s PUT metodom bez prava za pisanje;
- Otvoreni preusmjeravanje u prijavnoj formi;
- Mogućnost slanja zlonamjernih vanjskih veza mimo provjere isURLInPortal;
- Neaktiviranje provjere sigurnosti lozinke u nekim slučajevima;
- Međusite skriptiranje (XSS) putem umetanja koda u polje s naslovom.
Izvor: opennet.ru
